VPN شخصي أم نفق حزم: نموذجان لشبكة VPN على iPhone
أحد النموذجين يضبط IPsec أو IKEv2 المدمج في iOS؛ والآخر يقدّم مزوّدًا ينفّذ بروتوكوله الخاص. اسم المنتج لا يقول أيّهما حصلت عليه.
يمكن لتطبيقين على iPhone أن يضعا كلاهما مدخل VPN في الإعدادات، وأن يسمّيا نفسيهما عميلَي VPN، وألا يتشاركا أي تنفيذ تقريبًا. تسمّي Apple إحدى هاتين التكاملين Personal VPN، وهذا الاسم هو مصدر معظم الالتباس. إن Personal VPN واجهة برمجية لإنشاء وإدارة التكوينات التي تستخدم تنفيذ IPsec أو IKEv2 المدمج. أما مزوّد نفق الحزم فهو النموذج الآخر: يقدّم التطبيق امتدادًا ينفّذ جهة العميل من بروتوكوله الخاص. وكل ما يستنتجه الناس من هذا الاسم بعد ذلك، من الشيفرات إلى الملكية إلى ما إذا كان يجب إدارة الهاتف، هو استنتاج لا تصريح.
من ينفّذ النفق
يحدّد هذا الانقسام من يتحمّل المسؤولية عندما يتعطّل شيء. فمع IPsec أو IKEv2 المدمج، تملك iOS آلة حالة النفق ويملك التطبيق التكوين والأزرار. ومع المزوّد، يملك التطبيق كليهما، فيصبح خلل البروتوكول تحديثًا للتطبيق بدلًا من تحديث لنظام التشغيل.
المقارنة قصيرة إذا سألت من ينفّذ البروتوكول.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
تذكر وثائق Personal VPN أيضًا نافذة تفويض المستخدم الصريحة عندما يحفظ تطبيق تكوينًا لأول مرة، وهي تخص ذلك النموذج لا تطبيقات VPN عمومًا.
ادّعاءان عن الاسم يجدر التخلّي عنهما
الأول أن Personal VPN يختار شيفرة. وهو لا يفعل ذلك؛ فالمجموعة المتفاوض عليها تأتي من البروتوكول وتكوينه، واسم Personal لا يقول شيئًا عن أيّها ستحصل. والثاني أن Personal VPN يعني وكيلًا أو نفقًا محدودًا. وهو يعني IPsec أو IKEv2 المدمج، وهو نفق كامل متى قالت المسارات ذلك.
لذا فإن وجود تطبيق ليس دليلًا على بروتوكول السلك. فعميل طرف ثالث يتحدّث WireGuard أو OpenVPN هو تطبيق مزوّد بحكم البناء، لأن iOS لا ينفّذ هذين البروتوكولين أصلًا.
لماذا تضلّل صياغة المؤسسات
تصنّف وثائق Apple تكوينات NETunnelProviderManager على أنها تكوينات VPN مؤسسية عادية. وهذه الصياغة فئة API، وهي تدفع الناس إلى خطأين متعاكسين: افتراض أن تطبيق مستهلك لا يستطيع استخدام نموذج المزوّد، وافتراض أن الهاتف يجب أن يكون خاضعًا للإشراف من أجله. ولا يلزم أي منهما. فتطبيقات المستهلكين تقدّم مزوّدين بشكل روتيني، والإشراف مسألة منفصلة عن من يحق له فرض السياسة.
ملكية الإدارة هي ذلك السؤال الرابع، وهي مستقلة عن النموذجين. فالتكوين الذي تنصّبه مؤسسة يحمل هويته ونطاق حركته وقواعد دورة حياته، وكلها تسافر مع الملف الشخصي لا مع أي تطبيق مصادف أنه مثبّت. اقرأها إلى جانب نموذج التكامل، لأن ملفًا مدمجًا مُدارًا وملف مزوّد غير مُدار يمكن أن يجتمعا على هاتف واحد في الوقت نفسه.
افحص الدليل بدل لقطة الشاشة
لقطات الشاشة أسوأ دليل متاح، لأن تجميع الإعدادات يتغيّر بين الإصدارات. فالملف المُدار يسمّي نوع الحمولة الخاص به: الملف المدمج يعلن نوع VPN مثل IKEv2 أو IPsec، بينما يحمل ملف المزوّد نوعًا فرعيًا يسمّي معرّف حزمة المزوّد. وهذا قابل للتحقق على الجهاز أمامك، ويصمد أمام إعادة التصميم التالية.
أما التطبيق نفسه، فالفئة المستخدمة تجيب عن السؤال ذاته من الجهة الأخرى: كائنات تكوين من واجهة Personal VPN، أو مدير مزوّد وامتداده.
ثم اختر بحسب ما يقدّمه المشغّل فعليًا. فحيث يوجد ملف أصلي متوافق، يكون المسار المدمج أقل أجزاء متحركة وأقل شيئًا واحدًا يحتاج إلى تحديث. وحيث تحتاج الخدمة بروتوكولًا لا تشحنه iOS، يكون تطبيق المزوّد الخيار الوحيد ويصبح إيقاع إصداراته جزءًا من مخاطرك.
احتفظ بالسجل مع الاتصال
أرفق المصادقة وسياسة الموارد بسجل الاتصال لا بالتطبيق، كي لا تأخذ إعادة التثبيت نموذج التفويض معها. وهذا السجل هو أيضًا ما يحتاجه مهندس الدعم عندما يقوم النفق ولا يعمل شيء آخر.
السؤال الجدير بالطرح في النهاية ليس أي نموذج أفضل. بل أي نموذج يدعمه مشغّلك، وأيّهما تستطيع تنقيحه في الثانية صباحًا بالأدوات التي تملكها فعلًا.